NOW Briefing
Adobe ColdFusion 인증 우회 원격 코드 실행 취약점 (CVE-2026-48282)
■ 개요
Adobe ColdFusion은 CFML 언어로 웹 애플리케이션을 개발·운영하는 상용 애플리케이션 서버입니다. 2026년 7월 1일 Adobe는 긴급 게시판 APSB26-68을 내고 ColdFusion 2023·2025 계열에서 11건의 취약점을 공개했습니다. 그중 6건은 최고 심각도인 CVSS 10.0을 받은 취약점입니다. 영향 범위는 ColdFusion 2025 Update 9 이하, ColdFusion 2023 Update 20 이하 전 버전입니다.
이 중 가장 위험한 항목은 경로 탐색 취약점(CVE-2026-48282)입니다. 이 취약점은 인증 없이 네트워크로 악용되며, 공격자가 의도된 디렉터리 밖의 파일에 접근할 수 있게 합니다. 여기에 임의 파일 읽기(CVE-2026-48313)와 파일 업로드 경로 탐색(CVE-2026-48276)이 결합되면 서버에서 파일을 읽고 웹루트에 실행 가능한 파일을 써넣어 원격 코드 실행에 도달할 수 있습니다.
다만 이 공격 경로가 항상 성립하는 것은 아닙니다. 악용 전제 조건은 RDS가 켜져 있고 인증이 꺼진 상태인 경우입니다. RDS는 개발용 원격 파일 접근 기능으로, 운영 서버에서는 꺼져 있어야 하지만 실제로는 켜진 채 노출된 사례가 많습니다. Adobe는 이번 건에 최고 긴급도인 Priority 1을 부여했으며, 공개 수 시간 내 실제 공격이 관측된 만큼 즉시 패치해야 합니다.
■ 요약
| 항목 | 내용 |
|---|---|
| CVE ID | CVE-2026-48282 외 APSB26-68 다발 결함 |
| CVSS 점수 | CVSS v3.1 10.0 / Critical (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) |
| 취약점 유형 | CWE-22 경로 탐색, 인증 우회·임의 파일 읽기/쓰기 연계 RCE |
| 영향/위험 |
• 인증 없이 네트워크 경유 원격 코드 실행 가능 • 임의 파일 읽기로 설정·자격증명 파일 유출 가능 • 웹루트에 CFM 웹셸 기록 후 명령 실행 가능 • 공개 수 시간 내 실제 공격 관측(Priority 1) |
| 취약 버전 | ColdFusion 2025 Update 9 이하, ColdFusion 2023 Update 20 이하 |
| 패치 버전 | ColdFusion 2025 Update 10, ColdFusion 2023 Update 21 |
■ 기술 분석
공격 표면은 RDS 엔드포인트인 /CFIDE/main/ide.cfm이며, 요청의 ACTION 파라미터로 파일 입출력 동작을 지정합니다. ACTION=FILEIO 요청은 길이 접두어 방식으로 필드를 인코딩합니다. 각 필드 앞에 바이트 길이를 붙여 경로와 동작(READ/WRITE)을 전달하는 구조입니다.
연구 분석에 따르면, 이 처리 경로는 전달받은 파일 경로를 정식 경로로 정규화하거나 웹루트 경계를 검증하지 않고 그대로 사용했습니다. 이 때문에 ../ 시퀀스로 의도된 디렉터리를 벗어나 임의 위치의 파일을 읽거나 쓸 수 있습니다. 실제 공격에서 관측된 첫 시도는 아래처럼 시스템 파일을 읽어 취약 여부를 탐지하려는 요청이었습니다.
POST /CFIDE/main/ide.cfm?ACTION=FILEIO
# RDS 길이 접두어 인코딩: 필드수:길이:값...
2:000018:C:\Windows\win.ini00004:READ
# └필드수 └경로(18바이트) └동작(READ)
# ... WRITE 동작 시 웹루트에 .cfm 기록 → 웹셸 배치, 무기화 로직 생략 ...앞선 임의 쓰기 경로를 이용하면 파일 쓰기(WRITE) 동작으로 웹루트에 CFML 코드를 담은 .cfm 파일을 생성할 수 있습니다. 생성된 파일은 HTTP GET으로 접근되는 순간 서버에서 실행됩니다. 여기에 CKEditor 파일 관리자 업로드 경로의 디렉터리 탐색까지 더해지면, 업로드 파일이 NT AUTHORITY\SYSTEM 권한으로 기록돼 권한 상승으로 이어집니다.
📌 NOTE
이 취약점은 RDS가 켜져 있고 인증이 꺼진 조건에서 미인증 악용이 성립합니다.
RDS를 운영 환경에서 끈 서버는 미인증 원격 실행 위험이 크게 낮아집니다.
다만 RDS 상태를 확신할 수 없다면 노출된 것으로 간주하고 대응해야 합니다.
RDS 파일 처리 경로의 경계 검증 부재를 해소하기 위해, 패치는 파일 경로 처리에 RdsFileSecurity.resolveCanonical() 검증을 도입했습니다. 이 함수는 절대 경로 차단, 널바이트 거부, ../ 시퀀스 차단, 정식 경로 검증을 수행해 웹루트 경계를 벗어난 접근을 거부합니다.
■ PoC
이 취약점의 동작 방식은 watchTowr Labs가 7월 2일 공개한 기술 분석에서도 확인됩니다. 해당 분석에는 파일 읽기·쓰기·디렉터리 탐색 프리미티브(공격에 쓰는 기본 동작)가 포함돼 있어 PoC가 부분 공개된 상태입니다. 근본 원인은 사용자 입력 경로의 정규화·경계 검증 부재입니다. 아래는 그 로직을 방어 관점에서 단순화한 예시입니다.
# 방어용으로 단순화한 예시 — 실제 익스플로잇이 아님
def handle_fileio(path, action):
# [취약] 입력 경로를 정규화·경계 검증 없이 그대로 사용
target = open_file(path, action) # ../ 로 웹루트 이탈 가능
# ... 임의 읽기/쓰기 → 웹셸 배치 로직 생략 ...
# [패치] 정식 경로 검증 후 경계 내 경로만 허용
def handle_fileio_patched(path, action):
safe = RdsFileSecurity.resolveCanonical(path) # 절대경로·널바이트·../ 거부
return open_file(safe, action)따라서 취약 버전에서는 경계 검증 부재로 임의 파일 읽기가 웹셸 기록과 명령 실행으로 확장됩니다.
⚠️ WARN
실제 공격에서는 이미 win.ini 읽기 같은 탐지성 요청이 관측됐습니다.
취약 버전을 운영했다면 로그에 성공 흔적이 없어도 침해 가능성을 전제로 조사해야 합니다.
웹루트에 최근 생성된 미확인 .cfm 파일이 있는지 반드시 확인해야 합니다.
■ 탐지 및 점검
• RDS 노출 조건과 실제 악용 흔적을 확인하기 위해 웹서버·ColdFusion 접근 로그에서 /CFIDE/main/ide.cfm의 ACTION=FILEIO 요청과 ../ 시퀀스를 포함한 요청을 검색합니다.
• CKEditor 업로드 경로 /cf_scripts/scripts/ajax/ckeditor/plugins/filemanager/upload.cfm로 향한 비정상 요청과 경로 탐색 문자열을 살핍니다.
• 웹루트(wwwroot) 하위에 최근 생성·수정된 미확인 .cfm 파일이 있는지 파일 시스템을 조사합니다.
• ColdFusion 관리 콘솔에서 RDS 활성화 여부와 인증 설정 상태를 확인해 미인증 노출 조건을 점검합니다.
• 취약 버전 운영 기간 동안 발생한 NT AUTHORITY\SYSTEM 권한의 예기치 않은 파일 쓰기·프로세스 생성을 추적합니다.
■ 대응 방안
• 노출 여부와 관계없이 ColdFusion 2025는 Update 10, ColdFusion 2023은 Update 21로 즉시 업데이트합니다.
• 운영 환경에서 RDS를 비활성화하고, 불가피하게 사용할 경우 인증을 반드시 활성화합니다.
• ColdFusion 관리 페이지와 /CFIDE 경로를 인터넷에 직접 노출하지 않도록 접근을 제한합니다.
• 취약 기간 노출이 확인되면 웹셸 탐색과 함께 서버 자격증명·데이터소스 비밀번호를 재발급합니다.
💡 TIP
패치 적용만으로는 이미 심어진 웹셸이 제거되지 않습니다.
따라서 업데이트 후에도 웹루트 무결성 점검과 침해 조사를 병행해야 합니다.
[참고 자료]
watchTowr Labs — Adobe ColdFusion Security Bulletin APSB26-68 CVE Bonanza
